「Infinite Campus」のデータ漏洩により、13万7,000件の学校職員アカウントが影響を受ける

3月、広く利用されているK-12向け学生情報システム「Infinite Campus」を標的としたSalesforceのデータ窃取攻撃において、恐喝グループ「ShinyHunters」が13万7,000件以上の学校職員アカウントから個人情報を盗み出した。

Infinite Campusは、米国全土の3,200以上の学区に学生情報システム（SIS）を提供する教育テクノロジー（EdTech）企業であり、46州の1,100万人の生徒のデータを管理している。

3月に顧客に情報漏洩を通知した際、同社はこの事件を特定のハッカー集団によるものと断定しなかったものの、攻撃者について「数百社のSalesforceアカウントを標的にすることで知られるグループの一員」と説明した。

また、Infinite Campusは影響を受けた顧客に対し、流出したデータには学校職員の氏名や連絡先、その他の公開情報が含まれていたと説明した一方で、顧客データベースが侵害されたという証拠はないと付け加えた。

「攻撃者の標的は、学校職員の氏名や連絡先情報で構成される『Infinite Campus』のSalesforceインスタンスであり、その大部分は学校のウェブサイトに一般的に掲載されているディレクトリ情報である」と同社は述べた。

Infinite Campusは攻撃に関する詳細を明らかにしなかったが、データ恐喝グループ「ShinyHunters」は、自グループのデータ漏洩サイトでこの侵害への関与を主張し、個人を特定できる情報（PII）を含むSalesforceの記録やその他の社内データが含まれているとされる1.2GBの文書アーカイブを流出させた。

​データ侵害通知サービス「Have I Been Pwned」は、流出したデータを分析し、本日、この侵害により137,100件のアカウントデータが流出しており、その中には固有の名前、メールアドレス、勤務先、役職、電話番号、住所、ユーザー名、サポートチケットが含まれていると発表した。

「その後、このグループは、Infinite Campusから盗まれたと主張するデータを公開しました。そのデータには、13万7千件の固有のメールアドレスに加え、氏名、電話番号、住所、サポートチケットが含まれていました」とHave I Been Pwnedは述べています。

「Infinite Campusはその後、通知を送信し、流出したデータの大部分は『学校職員の氏名および連絡先情報』であり、『その大部分は学校のウェブサイトに一般的に掲載されているディレクトリ情報である』と説明した。」

Infinite Campusの事件は、2024年12月に発生したPowerSchoolへのハッキング事件と非常に類似しているが、PowerSchoolの侵害では6,200万人の生徒が影響を受けたことを考えると、その影響は大きく異なる。 この攻撃の首謀者であるマサチューセッツ州出身の19歳の大学生も、2025年5月に有罪を認めた後、懲役4年の 判決を受けた。

ShinyHuntersは過去1年間にわたり多くのSalesforce顧客を標的としており、Salesloft DriftハッキングやSalesforce Auraキャンペーンにおいて数百社のシステムに侵入し、15億件以上のレコードを盗んだと主張している。

さらに最近では、この恐喝グループは、オラクルのエンタープライズ向けビジネスソフトウェアスイート「PeopleSoft」のゼロデイ脆弱性を悪用し、ノッティンガム大学を含む100以上の組織からデータを盗んだ新たなデータ窃取キャンペーンの犯行を自認している。